Per “sistemi di videosorveglianza” si intendono “tutti quegli strumenti che consentono di captare informazioni e acquisire conoscenza dell’attività dei lavoratori, come telecamere, citofoni, microfoni, o altre apparecchiature in grado di rilevare in modo continuativo immagini, anche associate a suoni, relative a persone identificabili”[1].
La raccolta, la registrazione, la conservazione e, in generale, l’utilizzo di immagini di persone fisiche identificate o identificabili configura un trattamento di dati personali ai sensi dall’art. 4, par. 1 n. 1 del Regolamento dell’Unione europea n. 2016/679 General Data Protection Regulation (GDPR) e dell’art. 4, comma 1, lett. b) del Decreto Legislativo n. 196/2003 (Codice della Privacy)[2].
Per conformarsi alla normativa a tutela dei dati personali, gli impianti di videosorveglianza devono essere installati in conformità all’art. 4 dello Statuto dei lavoratori, il cui rispetto costituisce il presupposto di liceità del trattamento dei dati acquisiti mediante tali impianti[3].
L’art. 4 dello Statuto dei lavoratori stabilisce che “[g]li impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale”. La stessa norma prevede che gli impianti audiovisivi possono essere installati previo accordo collettivo stipulato (a) dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali oppure (b) dalle associazioni sindacali comparativamente più rappresentative sul piano nazionale, nel caso di imprese con unità produttive ubicate in diverse Province della stessa Regione ovvero in più Regioni.
In mancanza di accordo sindacale, gli impianti possono essere installati previa autorizzazione (a) della sede territoriale oppure (b) della sede centrale dell'Ispettorato nazionale del lavoro, nel caso di imprese con unità produttive dislocate negli ambiti di competenza di più sedi territoriali.
In tale contesto normativo, in due sentenze n. 38882/18 e 3884/18 depositate lo scorso 24 agosto, la Cassazione ha sancito la responsabilità penale del datore di lavoro che installi sistemi di videosorveglianza in violazione dell’art. 4 dello Statuto dei lavoratori, anche qualora i dipendenti abbiano espresso il loro consenso a tale riguardo.
Sovvertendo un precedente orientamento, la Cassazione ha ritenuto infatti che il consenso dei lavoratori non costituisca una valida scriminante della condotta del datore di lavoro, atteso che quest’ultimo si trova in posizione di forza rispetto ai dipendenti “parti deboli”.
Il nuovo orientamento della Cassazione si pone in linea con i chiarimenti già forniti in materia di tutela dei dati personali dal Gruppo di lavoro Articolo 29, il quale – proprio alla luce della disparità di forze (imbalance of power) tra le parti – esclude che il consenso del lavoratore dipendente costituisca generalmente una valida base giuridica per il trattamento dei dati personali ai sensi del GDPR[4].
[1] F. Santoni, La privacy nel rapporto di lavoro: dal diritto alla riservatezza alla tutela dei dati personali, in P. Tullini (a cura di) Tecnologie della comunicazione e riservatezza nel rapporto di lavoro. Uso dei mezzi elettronici, potere di controllo e trattamento dei dati personali, in Tratt. dir. comm. e dir. pubbl. ec., diretto da F. Galgano, CEDAM, Padova, 2010, p. 38.
[2] In tal senso si è pronunciato sia il Garante per la protezione dei dati personali ad esempio nel provvedimento generale del 10 aprile 2010, sia il Gruppo di lavoro Articolo 29, il quale ha confermato che “i dati in forma di immagini e suoni relativi a persone fisiche identificate o identificabili rappresentano dati personali” (cfr. parere 4/2004 relativo al trattamento dei dati personali mediante videosorveglianza).
[3] La disciplina contenuta nell’art. 4 dello Statuto “rappresenta, dunque, la ‘base normativa’ sulla quale sono inserite le ulteriori precisazioni contenute nel Codice della privacy” e nel GDPR. In tal senso, C. Delpiano, Controlli a distanza, videosorveglianza e impatto privacy, in Quaderni della Sicurezza AiFOS 2/2018, p. 59.
[4] Si veda in proposito Gruppo di lavoro Articolo 29, Linee guida sul consenso ai sensi del Regolamento (UE) 2016/679, versione aggiornata al 10 aprile 2018, pag. 7, ove si legge in particolare che “[d]ata la dipendenza risultante dal rapporto datore di lavoro/dipendente, è improbabile che l’interessato sia in grado di negare al datore di lavoro il consenso al trattamento dei dati senza temere o rischiare di subire ripercussioni negative come conseguenza del rifiuto. È improbabile che il dipendente sia in grado di rispondere liberamente, senza percepire pressioni, alla richiesta del datore di lavoro di acconsentire, ad esempio, all’attivazione di sistemi di monitoraggio, quali la sorveglianza con telecamere sul posto di lavoro, o alla compilazione di moduli di valutazione”.